Nmap-Rohscan schléit iwwer eng VPN fehl, awer -sT-Verbindung funktionéiert?

Eng Säit luedt duerch den Tunnel, während e Portscan de Host als down mëtt, an den éischten Androck ass, datt d’VPN eppes blockéiert. Meeschtens blockéiert si näischt Neies. Déi zwou Tester froen dem Betribssystem ënnerschiddlech Fäegkeeten of, an nëmmen een vun hinnen brauch Rou-Paketzougrëff. Fannt eraus, wéi eng Fäegkeet versot huet, ier dir den Tunnel beréiert.

Trennt d’Fäegkeet vum Tunnel

Eng gewéinlech Applikatioun freet de Kernel, eng TCP-Verbindung opzemaachen, an de Kernel mécht den Handshake ouni speziell Rechter. En Rou-Scan baut d’Paketen selwer, wat e Rou-Socket oder en Capture-Driver ofhänkt vun der Plattform. Dat sinn Ufroen zu Rechter an Driver, an si existéieren egal ob eng VPN verbonnen ass oder net.

Dësen Ënerscheed erkläert déi üblech Asymmetrie. curl geléngt, well de Socket-Wee funktionéiert, während den SYN-Scan versot, well de Prozess keen Rou-Socket op der Tunnel-Schnittstell opmaache kann. Et erkläert och de Géigefall, wou en Rou-Scan gefiltert mëtt, well de Wee d’Probe fale léisst, während den Applikatiounswee gutt bleift.

Keen vun den zwee Resultater beschreift den entfernten Service. Béid beschreiwen ee Wee ënner enger Method, also hält d’Method un der Konklusioun befestegt.

Féiert d’Verbindungsprüfung op engem eenzegen ugehollenen Host aus

Wielt den eenzegen Host, deen deng Aufgab ofdeckt, an notzt dann de Modus, dee kee Rou-Zougrëff brauch. D’Beispillzil hei ass 198.51.100.24, Dokumentatiounsraum, dee fir dës Zort Illustratioun reservéiert ass.

Eng Linn, een Host, ee Port, keng Entdeckungsphas:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT wielt eng voll TCP-Verbindung, also ënnerhëlt se dee selwechte Kernel-Wee wéi eng Applikatioun a brauch keen Capture-Driver. -Pn iwwerspréngt d’Hostentdeckung; nmap mécht awer nach ëmmer eng Link-Layer-Opléisung fir Ziler am lokalen Segment, also ass d’Flag keng Verspriechen vu null Virausverkéier. --unprivileged seet dem nmap, unzehuelen, et hätt keng Rou- oder Schnüffelrechter, wat d’Method ännert an näischt gëtt.

Liest all Flag als eng Ännerung, net als eng Reparatur

Behandelt all Optioun als eng Ausso iwwer d’Method. Weder -sT, nach -Pn nach --unprivileged setzt eng Route bäi, mécht eng entfernt Firewall op oder validéiert en Zertifikaat. En Verbindungsscan fäerdeg och en echte Handshake, deen de Service logged, also gesinn eng ugehollen Prüfung an e net ugehollene Sweep vum Server aus gläich aus, ausser wat d’Spann an den Tempo ugeet. Optiounen ze stacken, bis d’Ausgab sech ännert, ass de Wee, wéi ee Methodproblem als Netzwierkfond festgehale gëtt.

Wann d’Ausgab zou seet, huet eppes mat engem Reset geäntwert, an dat ass en anere Fond wéi Stëllt. Wann d’Ausgab gefiltert seet, huet en Apparat d’Probe oder seng Äntwert fale gelooss, an d’VPN kann zefälleg sinn. Schreift déi genee Formuléierung op, well en Urteel vun der Entdeckungsphas an eng Feeler op Probe-Niveau op ënnerschiddlech Schichten hiweisen.

Wann e privilegiéierte Modus wierklech gebraucht gëtt, entscheet den Eegentemer vun der Plattform, ob d’Recht, den Driver an d’Interface-Uerdnung ënnerstëtzt ginn. Déiselwecht Opruff ze hiewen ännert seng Method net.

Stoppt beim Transportresultat, a test dann de Service

En ofgeschlossenen Handshake äntwert op eng Fro zu enger Adress, engem Port, enger Quell an engem Moment. Et beweist net, datt de Backend gesond ass, well e Load Balancer oder e Front-Proxy d’Verbindung akzeptéiere kann, während d’Applikatioun hannendru steet.

Fuert weider mam eegene Client vum Service, sou datt TLS-Identitéit an Applikatiounsverhalen als getrennt Fakten observéiert ginn:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Nach eng Gewunnecht hält d’Resultat nëtzlech. Schreift de genee Befehl, d’Quelladress, déi en notzt, an d’Zäit op, well en Transportresultat ouni dëse Kontext net ka reproduzéiert oder verglach ginn.

Wann den Zertifikaat en Host nennt, deen s du net erwaart hues, huet den Transport funktionéiert an d’Routing war ni de Problem; de Feeler läit am virtuelle Hosting oder am DNS. Wann den Handshake versot, schreif de lokalen Feelerstring op, amplaz iwwer den Tunnel ze verallgemeineren. Halt d’Spann-Notiz nieft dem Resultat, well déi nächst Persoun muss wëssen, wéi eng Method et erstallt huet.